《计算机网络工程实训》课件第18章.ppt

1、第18章路由器NAT协议的实现第18章路由器NAT协议的实现18.1实训目的实训目的18.2实训环境实训环境18.3实训内容实训内容 18.4实训步骤实训步骤18.5实训思考实训思考 第18章路由器NAT协议的实现 18.1 实实 训训 目目 的的(1)理解NAT的概念和技术特征；(2)熟悉路由器配置NAT的相关命令；(3)理解NAT技术的实现类型；(4)掌握NAT技术的三类配置方法和步骤。第18章路由器NAT协议的实现 18.2 实实 训训 环环 境境18.2.1 实训器材实训器材(1)Cisco 2600系列路由器一台(每组)；(2)RJ45直通型五类或超五类UTP网线若干条，交叉型五类或

2、超五类UTP网线若干条；(3)Cisco Catalyst 2900系列交换机(或HUB)一台(每组)；(4)带有超级终端程序的PC机(带100 M网卡)若干台；(5)控制(反接)线一条，转换口一个(每组)。第18章路由器NAT协议的实现18.2.2 网络示意图网络示意图按图18-1所示将对应设备连接好，这样就建立了一个包含路由器的实训环境。图18-1 路由器配置NAT实训环境第18章路由器NAT协议的实现18.2.3 实训环境解析实训环境解析1.组建实训环境组建实训环境按图18-1所示将对应设备连接好。用直通型UTP网线，把Cisco Catalyst 2900系列交换机的FastEther

3、net0/1端口和Cisco 2600系列路由器的FastEthernet0/0端口连接起来，交换机的FastEthernet0/2端口分别接三台PC机。并用交叉型UTP网线将Cisco 2600系列路由器的FastEthernet0/1端口连接一台PC机(主机IP地址为193.168.1.100)。第18章路由器NAT协议的实现设置NAT功能的路由器至少要有一个内部端口(Inside)，一个外部端口(Outside)。内部端口连接的网络用户使用的是内部IP地址。内部端口可以为任意一个路由器端口。外部端口连接的是外部的网络，如Internet。外部端口可以为路由器上的任意端口。2.有关地址分类

4、有关地址分类路由器NAT技术涉及到4类地址，如图18-2所示。第18章路由器NAT协议的实现图18-2 有关地址分类的示意图第18章路由器NAT协议的实现(1)内部本地地址(Inside local address)：分配给内部网络中的计算机的内部IP地址(内部私有地址)，不能直接用于互联网，这些地址通常只有内部主机知道。私有IP地址范围如表18-1所示。(2)内部全局地址(Inside global address)：分配给内部主机的用于NAT处理的地址。对外进行IP通信时，代表一个或多个内部本地地址的合法IP地址。这种内部主机的地址可以被外部主机看到。在互联网上是合法的IP地址(内部公有地

5、址)。第18章路由器NAT协议的实现第18章路由器NAT协议的实现(3)外部本地地址(Outside local address)：一个外部主机相对于内部网络所用的 IP 地址，即分配给外部主机的用于NAT处理的 IP地址。这些外部主机的地址可以被内部主机看到，不一定是合法的地址。(4)外部全局地址(Outside global address)：外部网络主机的合法 IP 地址(外部公有地址)。这类地址可以被外部主机知道，但不能被内部主机知道。第18章路由器NAT协议的实现内部地址被内部网络所使用，这些地址可能要进行转换。外部地址被外部网络所使用，也可能需要进行转换(但实际上，多数情况下只有内

6、部地址需要被转换，即外部主机地址在外部网络和内部网络上是相同的)。术语“本地(local)”指的是其地址可以被内部主机看到。而术语“全局(global)”指的是地址可以被外部主机看到。一般情况下，外部本地地址和外部全局地址是同一个公有地址，它们就是内部网络主机所访问的互联网上的主机，只有当特殊情况的时候，两个地址才不一样。第18章路由器NAT协议的实现 18.3 实实 训训 内内 容容18.3.1 NAT技术实现类型技术实现类型NAT有三种类型，即静态 NAT、动态 NAT 和端口地址转换(PAT)。1.静态静态NAT在静态NAT中，内部网络中的每个主机都被永久映射成外部网络中的某个合法的地址

7、。静态地址转换是将内部本地地址与内部合法地址进行一对一的转换，且需要指定和哪个合法地址进行转换。如果内部网络有E-mail服务器或FTP服务器等可以为外部用户提供的服务，则这些服务器的IP地址必须采用静态地址转换，以便外部用户可以使用这些服务。第18章路由器NAT协议的实现2.动态动态NAT动态NAT首先要定义合法地址池，NAT池在外部网络中定义了一系列的合法地址，采用动态分配的方法映射到内部网络。动态 NAT从内部合法地址池中动态地选择一个末使用的地址对内部本地地址进行转换，是动态一对一的映射，多用于网络中的工作站。第18章路由器NAT协议的实现3.端口地址转换端口地址转换(PAT)PAT也

8、称复用动态地址转换，PAT首先是一种动态地址转换，是把内部地址映射到外部网络的一个IP地址的不同端口上，从而可以实现多对一的映射，即允许多个内部本地地址共用一个内部合法地址。PAT对于节省 IP 地址是最为有效的。对于只申请到少量IP地址但却经常同时有多个合法地址的用户使用外部网络的情况，这种转换极为有用。注意：当多个用户同时使用一个IP地址时，外部网络通过路由器内部利用上层的TCP或UDP端口号等唯一标识某台计算机。第18章路由器NAT协议的实现18.3.2 NAT基本配置方式基本配置方式1.静态静态NAT基本配置基本配置(1)在全局设置模式下，指定参与转换的局域网接口在内部本地地址与内部合

9、法地址之间建立静态地址转换，方法如下：Router(config)#ip nat inside source static local-ip global-ip/参数“local-ip”和“global-ip”分别表示内部本地地址和内部合法地址。(2)指定参与转换的内网接口，方法如下：Route(config)#interface f0/0Router(config-if)#ip address ip-address submask第18章路由器NAT协议的实现(3)在端口设置状态下，指定连接网络的内部端口，方法如下：Router(config-if)#ip nat inside(4)指定参与

10、转换的外网接口，方法如下：Router(config)#interface f0/1Router(config-if)#ip address ip-address submask(5)在端口设置状态下，指定连接外部网络的外部端口，方法如下：Router(config-if)#ip nat outside注：可以根据实际需要定义多个内部端口及多个外部端口。第18章路由器NAT协议的实现2.动态动态NAT基本配置基本配置(1)在全局设置模式下，定义内部合法地址池(申请到的合法IP地址的范围)，方法如下：ip nat pool 内部合法地址池名称 起始IP地址 终止IP地址 子网掩码中地址池名称可以

11、任意设定。(2)在全局设置模式下，定义一个标准访问列表，指定哪些专用地址被允许进行转换，方法如下：access-list access-list-number permit source-ip-addresssource-wildcard(access-list 标号 permit 源地址 通配符)第18章路由器NAT协议的实现其中，access-list-number(访问列表标号)取值199之间的整数，通配符掩码的作用与子网掩码类似，但它是子网掩码的反码。例如，若允许192.168.1.0/24网络的全部主机进行动态地址转换，则可以使用下列命令：Router(config)#access-

12、list 1 permit 192.168.1.0 0.0.0.255(3)在全局设置模式下，将由access-list指定的内部本地地址与指定的内部合法地址池进行地址转换，方法如下：ip nat inside source list access-list-number pool 内部合法地址池名字第18章路由器NAT协议的实现若地址池名称为aaa，则命令“ip nat inside source list 1 pool aaa”表示把“access-list 1”允许的内部地址映射为地址池aaa定义的全局地址。(4)在端口设置状态下，指定与内部网络相连的内部端口，方法如下：Route(co

13、nfig)#interface f0/0Router(config-if)#ip nat inside(5)在端口设置状态下，指定与外部网络相连的外部端口，方法如下：Router(config)#interface f0/1Router(config-if)#ip nat outside第18章路由器NAT协议的实现3.动态动态PAT基本配置基本配置(1)在全局设置模式下，定义内部合地址池，方法如下：Router(config-if)#ip nat pool 地址池名字 起始IP地址 终止IP地址 子网掩码其中，地址池名字可以任意设定。(2)在全局设置模式下，定义一个标准的access-lis

14、t规则以允许哪些内部本地地址可以进行动态地址转换，方法如下：access-list access-list-number permit source-ip-addresssource-wildcard(access-list 标号 permit 源地址 通配符)第18章路由器NAT协议的实现其中，access-list-number(访问列表标号)取值为199之间的整数，通配符掩码的作用与子网掩码类似，但它是子网掩码的反码。例如，若允许192.168.1.0/24网络的全部主机进行动态地址转换，则可以使用下列命令：Router(config)#access-list 1 permit 192.

15、168.1.0 0.0.0.255(3)在全局设置模式下，设置在内部的本地地址与内部合法IP地址间建立端口地址转换(PAT)，方法如下：ip nat inside source list 访问列表标号pool内部合法地址池名字overload (4)在端口设置状态下，指定与内部网络相连的内部端口，方法如下：第18章路由器NAT协议的实现Route(config)#interface f0/0Router(config-if)#ip nat inside(5)在端口设置状态下，指定与外部网络相连的外部端口，方法如下：Router(config)#interface f0/1Router(conf

16、ig-if)#ip nat outsidePAT将专用地址映射到全局地址的不同端口上，因为一个IP地址的端口数有65 535个，即一个全局地址可以和最多达65 535个内部地址建立映射，故从理论上说，一个全局地址可以供6万多个内部地址通过NAT连接Internet。第18章路由器NAT协议的实现 18.4 实实 训训 步步 骤骤通过虚拟终端或telnet方式登录到路由器，对路由器做初始化配置，建立路由器静态路由。18.4.1 静态静态NAT配置配置本实训实现静态NAT地址转换功能。将Cisco 2600 系列路由器的以太网口f0/0作为内部端口，以太网口f0/1作为外部端口。其中192.168.1.2，192.168.1.3，192.168.1.4 的内部本地地址采用静态地址转换，其内部合法地址分别对应为193.168.1.2，193.168.1.3，193.168.1.4。第18章路由器NAT协议的实现步骤1：在内部本地地址与内部合法地址之间建立静态地址转换。Router#config terminalRouter(config)#ip nat inside source stati